தரவு கசிவு, சந்தைத் தடங்கல், பொறுப்புக்கூறலில் குறைபாடுகள்: நேபாளத்தின் டிஜிட்டல் சேவைகள் எதிர்கொள்ளும் சவால்கள்

அரசின் 135 மின்னஞ்சல் கணக்குகள், பரந்த பாதுகாப்புப் பிரச்சினையை வெளிப்படுத்துகின்றன

வெளிப்பட்ட சான்றுகளைக் கண்காணிக்கும் Have I Been Pwned சேவையில் தேசிய இணையப் பாதுகாப்பு மையம் இணைந்ததைத் தொடர்ந்து, நேபாள அரசின் nepal.gov.np இணையக் களத்தின் கீழுள்ள குறைந்தது 135 மின்னஞ்சல் கணக்குகள் வெளிப்புறத் தரவு கசிவுகளில் அடையாளம் காணப்பட்டன. பாதிக்கப்பட்ட முகவர்களில் பிரதமர் அலுவலகம் மற்றும் உள்துறை, நிதி, வெளியுறவு அமைச்சகங்களுடன் தொடர்புடைய கணக்குகளும் அடங்கும்.

மாணவர்கள் மற்றும் ஆசிரியர்களின் ஆவணங்கள் வெளியானதாகக் கூறப்படும் தகவல்கள், அரசுத் தளங்கள் மீதான தாக்குதல்கள், மின்னணுக் கொள்முதலில் ஏற்பட்ட தலையீடு, பங்குச் சந்தை வர்த்தகத்தைத் தடைசெய்த ransomware சம்பவம் ஆகியவற்றுடன் இந்தக் கண்டுபிடிப்பும் கவனத்துக்கு வருகிறது. 2026 அக்டோபரில் வெளியான தகவல்கள், பாதுகாப்புக் குறைபாடுகள் தனியுரிமையையும் அத்தியாவசியச் சேவைகளை அணுகுவதையும் பாதிக்கக்கூடிய ஓர் இலக்கமய நிர்வாகத்தை விவரிக்கின்றன.

இந்தச் சம்பவங்கள் வெவ்வேறு வகையான பிரச்சினைகளை உள்ளடக்கியவை. ஒரு மின்னஞ்சல் முகவரி தரவு கசிவில் இடம்பெற்றிருப்பது மட்டும், அரசின் வலையமைப்புக்குள் யாரோ ஊடுருவியதை நிரூபிக்காது. ஒரு இணையதளம் செயலிழக்கச் செய்யப்பட்டிருப்பது மட்டும், அதன் பதிவுகள் திருடப்பட்டன என்பதை உறுதிப்படுத்தாது. எனினும், வெளிப்பட்ட உள்நுழைவுச் சான்றுகள், பலவீனமான அணுகல் கட்டுப்பாடுகள், பகிரப்பட்ட உள்கட்டமைப்பைச் சார்ந்திருத்தல் ஆகியவை இணைந்து அதிக உணர்திறன் கொண்ட அமைப்புகளுக்குள் நுழையும் வழிகளை உருவாக்கலாம்.

கடவுச்சீட்டு, அடையாளச் சரிபார்ப்பு, வரிவிதிப்பு, வங்கிச் சேவை, சமூகப் பாதுகாப்பு ஆகியவற்றை நேபாளம் டிஜிட்டல் சேவைகளுடன் இணைத்து வருகிறது. அதேவேளை, வரிசைகள், அடையாள அட்டைகள் வழங்குவதில் தாமதம், சேவையகங்கள் கிடைக்காமை ஆகியவற்றை மக்கள் தொடர்ந்து தெரிவிக்கின்றனர். எனவே, ஹேக்கர்களைத் தடுப்பதைவிடப் பரந்ததே மையப் பிரச்சினை: மக்கள் சமர்ப்பிக்க வேண்டிய தகவல்களை அரசு பாதுகாக்க வேண்டும்; அதேசமயம், ஓர் அங்கம் செயலிழந்தாலும் சேவைகள் பயன்படுத்தக்கூடிய நிலையில் இருக்க வேண்டும்.

மின்னஞ்சல் கணக்குகள் குறித்த கண்டுபிடிப்பு எதை உறுதிப்படுத்துகிறது

தேசிய இணையப் பாதுகாப்பு மையத்தின் இயக்குநர் ராஜ் குமார் மகர்ஜனின் கூற்றுப்படி, Have I Been Pwned சேவையில் இணைந்த 47ஆவது அரசு அமைப்பு நேபாளமாகும். இதன்மூலம், தனது சொந்த வலையமைப்பிலிருந்து கிடைக்கும் ஆதாரங்களை மட்டுமே நம்பியிருக்காமல், வேறு இடங்களில் ஏற்பட்ட கசிவுகள் வழியாக வெளிப்பட்ட அரசின் மின்னஞ்சல் முகவர்களை அடையாளம் காண மையத்துக்கு வழி கிடைக்கிறது.

பாதிக்கப்பட்ட துறைகளுக்கு மையம் அறிவித்து, கடவுச்சொற்களை மாற்றக் கோரும் என்று மகர்ஜன் தெரிவித்தார். கண்காணிப்புச் சேவை எவ்வாறு நடவடிக்கையை மாற்றுகிறது என்பதையும் அவர் விளக்கினார்:

இந்த இணையவாயில் மூலம், எந்த மின்னஞ்சல் முகவரி கசிந்தது, எந்த மூலத்திலிருந்து கசிந்தது என்ற துல்லியமான விவரங்களை எங்கள் மையம் இப்போது பெறுகிறது. இதனால் சம்பந்தப்பட்ட அதிகாரிகளுக்கு உடனுக்குடன் எச்சரிக்கை விடுக்கவும், உடனடியாகக் கடவுச்சொற்களை மாற்றச் செய்யவும், மேலும் சேதம் ஏற்படுவதைத் தடுக்கவும் முடிகிறது.

135 என்ற எண்ணிக்கையை, அரசின் 135 அஞ்சல் பெட்டிகளில் ஊடுருவல் உறுதிசெய்யப்பட்டதாகப் புரிந்துகொள்ளக் கூடாது. எத்தனை கணக்குகள் தொடர்ந்து பாதிக்கப்படக்கூடிய நிலையில் இருந்தன, வெளிப்பட்ட கடவுச்சொற்கள் இன்னும் செல்லுபடியாக இருந்தனவா, எத்தனை கணக்குகளில் கூடுதல் அங்கீகாரப் பாதுகாப்பு இருந்தது என்பவற்றை பொதுவெளியில் வெளியான தகவல்கள் உறுதிப்படுத்தவில்லை.

சமரசம் செய்யப்பட்ட அதிகாரப்பூர்வ கணக்குகள் உள்நிலை வலையமைப்புகளுக்கும் ரகசியத் தகவல் தொடர்புகளுக்கும் அச்சுறுத்தலாக அமையலாம் என்று இணையப் பாதுகாப்பு நிபுணர் மோனா நியாச்சியோன் எச்சரித்தார். உண்மையான அரசுக் கணக்கைத் தன் கட்டுப்பாட்டில் வைத்திருக்கும் தாக்குதலாளர், போலியான கோரிக்கைகளை நம்பத்தகுந்தவையாகவும் காட்ட முடியும்; குறிப்பாக, அந்த முகவரியைப் பெறுபவர்கள் அடையாளம் கண்டால் அது எளிதாகும்.

மால்வேரால் பாதிக்கப்பட்ட சாதனங்களிலிருந்து தகவல்களைத் திருடி, வேளாண் மேம்பாட்டு வங்கியுடன் தொடர்புடைய உள்நுழைவுச் சான்றுகள் வெளிப்பட்டதாகத் தனிப்பட்ட தகவல்கள் தெரிவிக்கின்றன. ஒரு சேவையின் மையச் சேவையகத்துக்குள் நேரடியாக ஊடுருவாமலேயே, அந்தச் சேவையை அணுகப் பயன்படுத்தப்படும் கணினியிலிருந்து இத்தகைய திருட்டு நிகழலாம்.

குடிமக்களின் ஆவணங்களும் பொதுத் தளங்களும் வெவ்வேறு அச்சுறுத்தல்களை எதிர்கொள்கின்றன

பல்கலைக்கழக மானிய ஆணையத்தின் இணைய அமைப்பில், பேராசிரியர்கள் மற்றும் மாணவர்களுக்குச் சொந்தமான குடியுரிமை ஆவணங்கள், கல்விச் சான்றிதழ்கள், வங்கிக் கணக்கு விவரங்கள், நிரந்தரக் கணக்கு எண் பதிவுகள் ஆகியவை வெளிப்பட்டதாகத் தெரிவிக்கப்பட்டது. அணுகல் கட்டுப்பாடுகள் இல்லாததால், இணைய முகவரியை மாற்றினாலே ஆவணங்களைப் பார்க்க முடிந்ததாகக் கூறப்படுகிறது.

ஒரு குறிப்பிட்ட பதிவைப் பார்க்க ஒருவருக்கு அனுமதி உள்ளதா என்பதைத் தீர்மானிக்கும் சரிபார்ப்பே அணுகல் கட்டுப்பாடு. ஒரு ஆவணத்தின் முகவரியை ஊகிப்பது கடினம் என்பதற்காக மட்டும் அது பாதுகாக்கப்பட்டதாகிவிடாது. ஒவ்வொரு முறையும் யாராவது கோரும்போது, அந்த அனுமதியைச் சேவையகம் சரிபார்க்க வேண்டும்.

அரசு மேகக்கணித் தளத்தின் பொதுப் பயன்பாட்டு நிரலாக்க இடைமுகத்துக்கு (API) அனுமதியற்ற அணுகல் கிடைத்ததாகவும் தகவல்கள் தெரிவிக்கின்றன. பொதுவாக API என அழைக்கப்படும் இடைமுகம், மென்பொருள் அமைப்புகள் தகவல்களைப் பரிமாறிக்கொள்ள அல்லது செயல்களைச் செய்ய உதவுகிறது. ForceAnon வலையமைப்புடன் தொடர்புடைய PSy404, AnoNagoSt என அடையாளம் காணப்பட்ட குழுக்கள், அந்த அணுகலைப் பயன்படுத்தி செய்திகள் மற்றும் படங்களை வெளியிட்டதாகக் கூறப்படுகிறது.

நீரியல் மற்றும் வானிலைத் துறை போன்ற அமைப்புகளின் கணினி அமைப்புகளில் Midnight Ops Nepal வெளிப்படுத்திய பாதிப்புகள், FunkSec குழுவுடன் தொடர்புபடுத்தப்பட்ட அமைச்சக நிர்வாகக் கட்டுப்பாட்டுப் பலகைகளுக்கான அணுகல் ஆகியவையும் பிற சம்பவங்களாகத் தெரிவிக்கப்பட்டுள்ளன. வரவு-செலவுத் திட்டம் மற்றும் நகராட்சி ஆவணங்கள் விற்பனைக்கு முன்வைக்கப்பட்டதாகவும் கூறப்படுகிறது.

இந்தக் கூற்றுகள் ஒவ்வொன்றையும் தனித்தனியாக மதிப்பிட வேண்டும். பொதுப் பயன்பாட்டு இடைமுகம் வழியாகப் பதிவுகளை வெளியிட முடிந்தது என்பது கட்டுப்பாட்டுத் தோல்வியைக் காட்டுகிறது; ஆனால் அரசு மேகக்கணியில் வழங்கப்படும் ஒவ்வொரு தரவுத்தளத்துக்கும் அணுகல் கிடைத்ததை அது நிரூபிக்காது. விற்பனைக்கு வைக்கப்பட்டதாகக் கூறப்படும் ஆவணங்களின் உண்மைத்தன்மை, பரப்பளவு, மூலம் ஆகியவற்றைச் சரிபார்த்த பிறகே முழுமையான கசிவை மதிப்பிட முடியும்.

தாக்குதல்கள் மற்றும் அரசின் நடவடிக்கைகள் குறித்த காலவரிசை

இந்தத் தகவல்கள் ஒரே ஒருங்கிணைந்த தாக்குதலை அல்ல, பல ஆண்டுகளாக நடந்த சம்பவங்களை விவரிக்கின்றன. பிரத்யேக இணையப் பாதுகாப்பு மையம் உருவாக்கப்பட்ட பின்னரும் சேவைத் தடங்கல்கள் முடிவுக்கு வரவில்லை என்பதையும் இந்த வரிசை காட்டுகிறது.

• 1 ஜனவரி 2024: பகிர்ந்தளிக்கப்பட்ட சேவை மறுப்பு (DDoS) தாக்குதல் பொதுச் சேவை இணையதளங்கள் மற்றும் செயலிகளைப் பாதித்ததாகவும், அதன் தாக்கம் பல வாரங்கள் நீடித்ததாகவும் தெரிவிக்கப்பட்டது.
• 23 ஜனவரி 2024: தேசிய இணையப் பாதுகாப்பு மையத்தை அமைக்க அமைச்சரவை முடிவெடுத்தது. அந்த மையம் அதே வசந்த காலத்தின் பிற்பகுதியில் செயல்படத் தொடங்கியது.
• டிசம்பர் 2024: கந்தகி, லும்பினி, பாக்மதி மாகாணங்களின் அரசுத் தளங்கள் மீது தாக்குதல்கள் நடத்தப்பட்டதாகத் தெரிவிக்கப்பட்டது.
• பிப்ரவரி 2025: கோஷி மாகாணத்தின் 21 துணைக் களங்கள் மீது தாக்குதல் நடத்தப்பட்டதாகத் தகவல்கள் தெரிவித்தன.
• மார்ச் 2025: ஹலோ சர்க்கார் புகார் தளத்தின் தரவுத்தளம் சமரசம் செய்யப்பட்டு, விற்பனைக்கு வைக்கப்பட்டதாகக் கூறப்பட்டது.
• ஏப்ரல் 2025: காவல் அறிக்கைகளுக்காகச் சமர்ப்பிக்கப்பட்ட சுமார் 2 மில்லியன் குடியுரிமைப் பதிவுகள் நேபாள காவல்துறையின் இணையதளத்திலிருந்து திருடப்பட்டு, விற்பனைக்கு வைக்கப்பட்டதாகக் குற்றஞ்சாட்டப்பட்டது.
• 13 மே 2026: நேபாள அரசின் அலுவல் ஒதுக்கீட்டு விதிகளில் வெளியிடப்பட்ட திருத்தங்கள், முக்கியத் தொழில்நுட்ப அமைப்புகளைப் பிரதமர் அலுவலகத்துக்கு மாற்றியதாகத் தெரிவிக்கப்பட்டது.
• செப்டம்பர் 2026: பங்குத் தரகர் நிறுவனங்களுக்கு ஆதரவளிக்கும் 72 அமைப்புகளைப் பாதித்ததாகக் கூறப்படும் ransomware தாக்குதல், வர்த்தகத்தை ஒரு நாள் நிறுத்தியது.
• அக்டோபர் 2026 தொடக்கம்: பயனர்களின் பெயர்கள், மின்னஞ்சல் முகவரிகள், தொலைபேசி எண்கள் அடங்கிய கசிவை Pathao Nepal ஒப்புக்கொண்டதாகத் தெரிவிக்கப்பட்டது.

காவல்துறையின் சுமார் 2 மில்லியன் பதிவுகள் திருடப்பட்டதாகக் கூறப்படும் சம்பவம், விவரிக்கப்பட்டவற்றில் மிகப் பெரிய கசிவுகளில் ஒன்றாகும். அந்த எண்ணிக்கை ஒரு செய்திக் கூற்று மட்டுமே; பாதிக்கப்பட்ட நபர்களின் எண்ணிக்கையாகத் தனித்துச் சரிபார்க்கப்படவில்லை. தனித்துவமான பதிவுகளின் எண்ணிக்கை அல்லது சேதம் குறித்த முழுமையான பொதுமதிப்பீடு இந்தத் தகவல்களில் இல்லை.

மின்னணுக் கொள்முதல் பொதுச் செலவினத்தில் பாதுகாப்பின் முக்கியத்துவத்தை உணர்த்துகிறது

மின்னணு அரசுக் கொள்முதல் அமைப்பு (e-GP) சமரசம் செய்யப்பட்டதாகக் கூறப்படுவது, ரகசியத் தகவல் மட்டுமல்லாமல் பொதுக் ஒப்பந்தங்களின் நம்பகத்தன்மையையும் பாதிக்கிறது. பில்லியன் கணக்கான ரூபாய் மதிப்புள்ள அரசுப் பணிகளுக்கான ஏலங்களைப் பெற, பொது கொள்முதல் கண்காணிப்பு அலுவலகம் இந்தத் தளத்தை இயக்குகிறது.

அனுமதியற்ற பயனர்கள் போட்டியாளர்களின் ரகசிய ஏலத் தொகைகளைக் காணவும், சமர்ப்பிப்பு காலக்கெடு முடிந்த பிறகு தொகைகளை மாற்றவும் முடிந்ததாக விசாரணையாளர்கள் கண்டறிந்ததாகத் தெரிவிக்கப்பட்டது. ஹேக்கர்கள், இடைத்தரகர்கள், ஒப்பந்ததாரர்கள் இடையிலானதாகக் கூறப்படும் ஒத்துழைப்பு, கிரிப்டோகரன்சி கொடுப்பனவுகள், போலி கொள்முதல் இணையதளம் ஆகியவற்றையும் தகவல்கள் விவரிக்கின்றன.

முன்னாள் அமைச்சர், கட்டுமானத் தொழில் சார்ந்தவர்கள், தொழில்நுட்பப் பணியாளர்கள் உட்பட 20க்கும் மேற்பட்டோரை நேபாள காவல்துறையின் மத்திய விசாரணைப் பிரிவு கைது செய்து, வழக்குகளை நீதிமன்றத்தில் தொடர்ந்ததாகத் தெரிவிக்கப்பட்டது. கைது மற்றும் குற்றச்சாட்டுகள் தண்டனைத் தீர்ப்புகள் அல்ல. குற்றஞ்சாட்டப்பட்ட ஒவ்வொருவரின் பொறுப்பையும் உறுதிப்படுத்தும் இறுதித் தீர்ப்புகள் குறித்து செய்திகளில் தகவல் இல்லை.

பாதுகாப்புக் கவலைகள் காரணமாக மின்னணு ஏலங்கள் நிறுத்தப்பட்டு, அத்தியாவசியக் கொள்முதலுக்கு மூடப்பட்ட காகித ஏல முறைக்குத் திரும்பியதாகக் கூறப்படுகிறது. மின்னணு ஏலங்கள் மீண்டும் தொடங்கும் உறுதிசெய்யப்பட்ட தேதி எதுவும் தகவல்களில் இல்லை.

ஆவணக் கசிவிலிருந்து இதன் வேறுபாடு முக்கியமானது. பார்க்கக் கூடாத ஒருவர் ஏலத்தைக் காணும்போது ரகசியத்தன்மை பாதிக்கப்படுகிறது. ஏலத்தையே யாராவது மாற்றும்போது அதன் ஒருமைப்பாடு பாதிக்கப்படுகிறது. இந்தப் பாதுகாப்புகளில் ஏதேனும் சிதைந்தால், கொள்முதலை மேலும் வெளிப்படையாக்குவதற்காக உருவாக்கப்பட்ட டிஜிட்டல் அமைப்பு, தேர்ந்தெடுக்கப்பட்ட ஏலதாரர்களுக்கு மறைமுக முன்னிலை அளிக்கக்கூடும்.

ஒரே சேவை வழங்குநரால் ஒட்டுமொத்தச் சந்தையும் பாதிக்கப்படலாம்

72 பங்கு தரகர் நிறுவனங்களின் வர்த்தக மேலாண்மை அமைப்புகள் வைக்கப்பட்டிருந்த தனியார் தரவு மையத்தை, 2026 செப்டம்பரில் நடந்ததாகக் கூறப்படும் ransomware சம்பவம் தாக்கியது. நேபாளப் பங்குச் சந்தையில் ஒரு முழு நாளுக்கு வர்த்தகம் கிடைக்கவில்லை எனத் தெரிவிக்கப்பட்டது. பாதிக்கப்பட்ட அந்த மையத்தில் அரசுத் தகவல்களும் சேமிக்கப்பட்டிருந்ததாக முதன்மைத் தகவல் கூறுகிறது.

Ransomware பொதுவாகக் கோப்புகளை மறையாக்குவது உள்ளிட்ட வழிகளில் அமைப்புகள் அல்லது தரவுகளை அணுக முடியாதபடி செய்து, பணம் கோரும். தாக்குதல் நடந்த தொழில்நுட்ப முறை என்ன, தகவல்களும் திருடப்பட்டனவா, மீட்புத் தொகை செலுத்தப்பட்டதா என்பவற்றைச் செய்திகள் உறுதிப்படுத்தவில்லை.

உறுதியாக விவரிக்கப்பட்டுள்ள விளைவு செயல்பாட்டுத் தடங்கலாகும்: ஒரே சேமிப்பு சேவை வழங்குநரிடம் ஏற்பட்ட தடங்கல், பல டஜன் தரகர் நிறுவனங்களுக்குப் பரவி, முதலீட்டாளர்கள் வர்த்தகம் செய்வதைத் தடுத்தது. பல அமைப்புகள் ஒரே வழங்குநர் அல்லது உள்கட்டமைப்பைச் சார்ந்திருக்கும் நிலையே செறிவுச் சார்பு அபாயம் எனப்படுகிறது.

Pathao Nepal வெளியிட்ட தகவல், தனியார் துறையில் ஏற்பட்ட வேறுவகையான வெளிப்பாட்டைக் காட்டுகிறது. பயனர்களின் பெயர்கள், மின்னஞ்சல் முகவரிகள், தொலைபேசி எண்கள் 2026 அக்டோபர் தொடக்கத்தில் கசிந்ததாகத் தெரிவிக்கப்பட்டது. ஆயிரக்கணக்கான பயனர்கள் பாதிக்கப்பட்டதாகச் செய்திகள் கூறினாலும், சரிபார்க்கப்பட்ட துல்லியமான எண்ணிக்கை வழங்கப்படவில்லை.

Vianet, Foodmandu நிறுவனங்களின் வாடிக்கையாளர் தகவல் கசிவுகள், வங்கி ATM அமைப்புகள் மீதான தாக்குதல்கள், NIC Asia வங்கியின் SWIFT அமைப்பு மீதான தாக்குதல் முயற்சி ஆகியவற்றையும் முந்தைய தகவல்கள் குறிப்பிடுகின்றன. இந்தச் சம்பவங்கள் அளவிலும் விளைவிலும் வேறுபட்டவை. எனினும், இணையப் பாதுகாப்புச் சவால் அரசுத் தளங்களைத் தாண்டி, தகவல் தொடர்பு, பொருள் வாங்குதல், போக்குவரத்து, நிதிச் சேவைகளுக்கான அமைப்புகளையும் உள்ளடக்கியிருப்பதைக் காட்டுகின்றன.

தேசிய அடையாள அமைப்பின் திறன் சிக்கல்கள் பல சேவைகளையும் பாதிக்கின்றன

உறுதிசெய்யப்பட்ட இணையத் தாக்குதல் இல்லாமலேயே ஒரு சேவை செயலிழக்கக்கூடும் என்பதற்கு தேசிய அடையாள அமைப்பு எடுத்துக்காட்டாகும். பயோமெட்ரிக் அமைப்பில் பதிவுகள் சுமார் 20 மில்லியன் என்ற கொள்ளளவை நெருங்கியபோது ஏற்பட்ட தொழில்நுட்ப அழுத்தத்தால், அங்கீகாரச் சேவை பல வாரங்கள் தடைபட்டதாகச் செய்திகள் தெரிவிக்கின்றன.

கடவுச்சீட்டு, வரி, போக்குவரத்து, வங்கிச் சேவைகள் உட்பட 16க்கும் மேற்பட்ட அமைப்புகளில் தடங்கல் ஏற்பட்டதாகத் தெரிவிக்கப்பட்டது. இந்த எண்ணிக்கை அமைப்பின் கொள்ளளவு மீதான அழுத்தத்தைக் குறிக்கிறது; பயோமெட்ரிக் தகவல்கள் வெளிப்பட்ட நபர்களின் சரிபார்க்கப்பட்ட எண்ணிக்கை அல்ல.

பிரெஞ்சு சேவை வழங்குநரின் நிறுவன அடையாளம் குறித்த விவரிப்புகள் தகவல்களில் மாறுபடுகின்றன. Idemia-விலிருந்து IN Groupe-க்கு மாற்றம் ஏற்பட்டதாக ஒரு தகவல் கூறுகிறது; மற்றொன்று IDEMIA-வையே தற்போதைய பெயராகக் குறிப்பிடுகிறது. ஒப்பந்தம் மற்றும் ஆதரவு தொடர்பான துல்லியமான ஏற்பாடுகள் இங்கு உறுதிப்படுத்தப்படவில்லை. செயல்பாட்டுப் பிரச்சினை ஒன்றே: பல சேவைகள் ஒரே அங்கீகாரத் தளத்தைச் சார்ந்திருந்தன; அது கிடைக்காதபோது அவையும் பாதிக்கப்பட்டன.

பகிரப்பட்ட அடையாளச் சேவை, மீண்டும் மீண்டும் செய்யப்படும் சரிபார்ப்புகளையும் ஆவணப் பணிகளையும் குறைக்கக்கூடும். ஆனால் அந்தச் சேவை பதிலளிக்காதபோது, பாதுகாப்பான மாற்று வழியில் முகமைகள் தொடர்ந்து செயல்பட முடியாவிட்டால், அது ஒற்றைத் தோல்வி மையமாக மாறுகிறது. எனவே, ஊடுருவலிலிருந்து பாதுகாப்பதுடன், கொள்ளளவுத் திட்டமிடல், மீட்பு ஏற்பாடுகள், சேவை வழங்குநர்களின் தெளிவான பொறுப்புகள் ஆகியவையும் முக்கியம்.

தனியுரிமை விளைவுகளையும் அதே கவனத்துடன் கையாள வேண்டும். கைரேகைகள் பயோமெட்ரிக் அடையாளங்கள்; குடியுரிமை எண்களும் பிறந்த தேதிகளும் அடையாளத் தகவல்கள், பயோமெட்ரிக் தகவல்கள் அல்ல. கடவுச்சொல்லைப் போல கைரேகையை மாற்றிவிட முடியாது. இந்த விவரங்கள் வெளிப்பட்டால், ஆள்மாறாட்டம் மற்றும் குறிவைத்து நடத்தப்படும் மோசடிகளுக்கு நீண்டகால வாய்ப்புகள் உருவாகலாம்.

அரசின் பாதுகாப்பு ஏற்பாடுகள் விரிவடைகின்றன; இருப்பினும் வரம்புகள் உள்ளன

மின்னஞ்சல் கசிவு குறித்த செய்திக்கு முந்தைய நான்கு மாதங்களில், தேசிய இணையப் பாதுகாப்பு மையம் கிட்டத்தட்ட 40 அரசுக் கணினி அமைப்புகளைத் தணிக்கை செய்ததாகத் தெரிவிக்கப்பட்டது. அரசுத் தகவல்கள் தொடர்பான சட்டவிரோதப் பரிமாற்றங்களைக் கண்காணிக்க, சர்வதேச தொலைத்தொடர்பு ஒன்றியம் வழங்கிய CTM360 கருவியையும் அது பயன்படுத்துகிறது.

புதிதாக வாங்கப்பட்ட பாதுகாப்புத் தகவல் மற்றும் நிகழ்வு மேலாண்மை அமைப்பு (SIEM), அரசின் வலையமைப்புகள் முழுவதுமுள்ள செயல்பாட்டுப் பதிவுகளைச் சேகரித்து பகுப்பாய்வு செய்கிறது. சந்தேகத்துக்குரிய போக்குகளைக் கண்டறிய இத்தகைய கருவிகள் பணியாளர்களுக்கு உதவுகின்றன. ஆனால் அவற்றின் பயன், எவை கண்காணிக்கப்படுகின்றன, எவ்வளவு விரைவாகக் குழுக்கள் எச்சரிக்கைகளை விசாரிக்கின்றன என்பவற்றைப் பொறுத்தது.

அரசுத் தளங்களை வழங்கும் சேவையகங்கள் ஒரே நேரத்தில் 7,000 முதல் 8,000 வரையிலான தாக்குதல் முயற்சிகளை எதிர்கொள்ளக்கூடும் என்று, நேபாளத் தகவலின்படி தகவல் தொழில்நுட்பம் மற்றும் மின்னணு ஆளுகை அலுவலகத்தின் தகவல் அதிகாரி பிரகாஷ் துவாடி தெரிவித்தார். மாணவர்கள் அல்லது குழந்தைகள் மேற்கொள்ளும் அடிப்படைச் சோதனைகள் இந்த முயற்சிகளில் 10 முதல் 20 சதவீதம் வரை இருக்கலாம் என்றும் அவர் மதிப்பிட்டார். இந்த மதிப்பீட்டுக்கான கால அளவு அல்லது எண்ணும் முறை குறித்து செய்தியில் விளக்கம் இல்லை.

தங்களைப் பாதுகாப்பாகப் பாதுகாக்க முடியாதபோது பணியாளர்கள் சில நேரங்களில் அமைப்புகளைத் துண்டித்துவிடுவதாகவும் துவாடி கூறினார். எனவே, சேவையகம் செயலிழப்பது என்பது தாக்குதலாளர்கள் கட்டுப்பாட்டைப் பெற்றதற்கான சான்றாக இல்லாமல், பாதுகாப்பு நடவடிக்கையாக இருக்கலாம். எந்தக் காரணத்தால் அணுகல் இழந்தாலும் குடிமக்கள் சேவைகளைப் பெற முடியாது; எனவே, துல்லியமான சேவை அறிவிப்புகளும் மீட்பு நடைமுறைகளும் அவசியம்.

இணையச் சம்பவங்களில் 90 சதவீதத்துக்கும் மேற்பட்டவை மனித நடத்தை மற்றும் சமூகப் பொறியியல் காரணமாக நிகழ்கின்றன என்று மகர்ஜன் கூறினார். இது அவர் தெரிவித்த மதிப்பீடே தவிர, நாடு தழுவிய புள்ளிவிவர ஆய்வின் முடிவு அல்ல. செயற்கை நுண்ணறிவைப் பயன்படுத்தி விரைவாகச் செயலிகளை உருவாக்கும்போது, மறையாக்கம் மற்றும் பாதுகாப்பிலுள்ள குறைபாடுகள் குறித்து உருவாக்குநர்கள் அறியாமல் போகலாம் என்றும் அவர் எச்சரித்தார்.

கூடுதல் காவல் துறைத் தலைமை ஆய்வாளர் மனோஜ் குமார் கே.சி., பிரதமர் அலுவலகம் மற்றும் பிற காவல் துறை அதிகாரிகளைப் போல ஆள்மாறாட்டம் செய்த மோசடி மின்னஞ்சல்கள் வந்ததாகத் தெரிவிக்கப்பட்டுள்ளது. பதில் அளிக்கவோ தகவல்களை வெளியிடவோ பெறுநர்களை நிர்ப்பந்திக்க, வழக்குத் தொடரப்படும் என அவை மிரட்டின. பயமும் அதிகாரப்பூர்வ அந்தஸ்தும் மோசடிக்கான கருவிகளாக எவ்வாறு பயன்படுத்தப்படலாம் என்பதை இந்த எடுத்துக்காட்டுகள் காட்டுகின்றன.

தனியுரிமை உரிமைகளுக்கு வெளிப்படையான அமலாக்கம் தேவை

நேபாள அரசியலமைப்பின் 28ஆம் பிரிவு தனியுரிமையைப் பாதுகாக்கிறது. பொது அமைப்புகள் வைத்திருக்கும் தனிப்பட்ட தகவல்கள் தொடர்பான கடமைகளையும் தனியுரிமைச் சட்டம், 2075 (2018) வரையறுக்கிறது. பிரிவு 29-இல் மூன்று ஆண்டுகள் வரை சிறைத்தண்டனை, பிரிவு 31-இல் இழப்பீடு, பிரிவு 32-இல் துறைசார் நடவடிக்கை ஆகியவை உள்ளதாக முதன்மைத் தகவலும் அதனுடன் வெளியான பகுப்பாய்வும் குறிப்பிடுகின்றன.

தொழில்நுட்பக் குறைபாடுகள் குறித்த ஒவ்வொரு செய்தியும் குற்றவியல் தண்டனை அல்லது இழப்பீட்டுக்கான நிபந்தனைகளைப் பூர்த்தி செய்கிறது என்று அந்தப் பிரிவுகள் உறுதிப்படுத்துவதில்லை. சம்பந்தப்பட்ட செயல், பொருந்தும் சட்டப் பிரிவுகள், ஆதாரங்கள் ஆகியவற்றின் அடிப்படையில் பொறுப்பு தீர்மானிக்கப்பட வேண்டும். இங்கு விவரிக்கப்பட்ட சம்பவங்களால் ஏற்பட்ட தண்டனைகள் அல்லது இழப்பீடுகள் குறித்து பொதுச் செய்திகளில் மிகக் குறைந்த விவரங்களே உள்ளன.

நிர்வாகப் பொறுப்புகளும் மாறிவருகின்றன. 2026 மே 13 அன்று வெளியிடப்பட்ட திருத்தங்கள், இணையப் பாதுகாப்பு மையம், தரவு மேலாண்மை மையம், தகவல் தொழில்நுட்பத் துறை ஆகியவற்றைப் பிரதமர் அலுவலகத்துக்கு மாற்றியதாகத் தெரிவிக்கப்பட்டது. மூன்று மாதங்களுக்குள் தகவல் தொழில்நுட்பம் மற்றும் மின்-ஆளுகை அலுவலகத்தை அமைக்க 2026 மார்ச் 27 அன்று அமைச்சரவைக் கூட்டநிரல் ஒப்புதல் அளித்தது; ஆனால் தகவல் வெளியானபோது அமைப்பு குறித்த ஆய்வுகள் முழுமையடையவில்லை எனக் கூறப்பட்டது.

இதனால் உருவான கட்டமைப்பும் அறிக்கையிடும் படிநிலையும் தெளிவுபெறவில்லை. நிறுவனங்களை இடமாற்றுவதால் மட்டும், பாதிக்கப்பட்ட குடிமக்களுக்கு யார் அறிவிக்க வேண்டும், சமரசம் செய்யப்பட்ட சேவையை மீண்டும் தொடங்க யார் ஒப்புதல் அளிக்க வேண்டும், பாதுகாப்புக் குறைபாட்டைச் சேவை வழங்குநர் சரிசெய்தாரா என்பதை யார் உறுதிப்படுத்த வேண்டும் என்பவை தீர்மானமாகிவிடாது.

சோதனை, கொள்முதல், தகவல் வெளியீடு ஆகியவை அடுத்த முடிவுகள்

மென்பொருள் கொள்முதலின் தொடக்கத்திலிருந்தே பாதுகாப்புக் கடமைகளை இணைக்க வேண்டும் என்று முதன்மைப் பகுப்பாய்வு முன்மொழிகிறது. வழங்கியவுடன் முடிந்துவிடும் கொள்முதலாக மென்பொருளைக் கருதாமல், மறையாக்கம், தொடர்ச்சியான புதுப்பிப்புகள், பராமரிப்பு, தரம் மற்றும் செலவின் அடிப்படையிலான தேர்வு ஆகியவற்றைச் சேர்க்க வேண்டும். இவை முன்மொழிவுகளே தவிர, உறுதிசெய்யப்பட்ட புதிய அரசுத் தேவைகள் அல்ல.

குடிமக்களுக்காகச் சேவைகள் திறக்கப்படுவதற்கு முன், பாதிப்பு மதிப்பீடும் ஊடுருவல் சோதனையும் கட்டாயமாக்கப்பட வேண்டும் என்றும் அது வலியுறுத்துகிறது. இச்சோதனைகள் பலவீனங்களைக் கண்டறிந்து, கட்டுப்படுத்தப்பட்ட ஊடுருவல் முயற்சிகளை மேற்கொள்கின்றன. சோதனையை நிறைவு செய்வதும் அதன் கண்டறிதல்களைச் சரிசெய்வதும் வெவ்வேறானவை: தீவிரக் குறைபாடுகள் சரிசெய்யப்பட்டு மீண்டும் சோதிக்கப்பட்டதற்கான ஆதாரம் இருந்தால்தான் சேவையைத் தொடங்குவது நம்பகமான முடிவாகும்.

மென்பொருள் உருவாக்கத்தின்போது பாதுகாப்பு பெரும்பாலும் கவனிக்கப்படுவதில்லை என்றும், தனியார் ஆய்வாளர்கள் பாதிப்புகளைத் தெரிவிப்பது ஊக்குவிக்கப்படுவதில்லை என்றும் இணையப் பாதுகாப்பு நிபுணர் நரேஷ் லாம்கடே கூறுகிறார். தெளிவான புகாரளிப்பு வழியும் வரையறுக்கப்பட்ட கையாளும் நடைமுறைகளும் இருந்தால், ஓர் அமைப்பை அணுகுவது குறித்து ஆய்வாளர்கள் குழப்பமடையாமல், கண்டறிந்த குறைபாடுகளைச் சரிசெய்ய உதவ முடியும்.

அரசு மின்னஞ்சல் மற்றும் நிர்வாகக் கணக்குகளுக்குக் கூடுதல் அங்கீகாரம், தரவு மையங்களுக்குத் தொடர்ச்சியான தணிக்கை, கசிவுகளுக்குப் பிறகு பாதிக்கப்பட்ட குடிமக்களுக்கு அறிவித்தல், சுயாதீனமான தரவுப் பாதுகாப்பு ஒழுங்குமுறை அமைப்பு ஆகியவை பிற முன்மொழியப்பட்ட நடவடிக்கைகள். இவை எப்போது நடைமுறைப்படுத்தப்படும் என்ற உறுதிசெய்யப்பட்ட தேதிகள் செய்திகளில் இல்லை.

உடனடியாகப் பதிலளிக்க வேண்டிய கேள்விகள் குறிப்பானவை: வெளிப்பட்ட கணக்குகளில் எத்தனை பாதுகாப்பாக்கப்பட்டன, திருடப்பட்டதாகக் கூறப்படும் தரவுத் தொகுப்புகள் உண்மையானவையா, மின்னணு ஏலங்கள் எப்போது மீண்டும் தொடங்கும், அடையாளச் சேவைகள் மற்றொரு கொள்ளளவுத் தடங்கலை எவ்வாறு தவிர்க்கும்? இணையத்தில் எத்தனை சேவைகள் வைக்கப்பட்டன என்பதற்குப் பதிலாக, முடிவுகளைக் கொண்டு மீட்பை மதிப்பிடப் பொதுவெளிப் பதில்கள் உதவும்.

முக்கிய அம்சங்கள்

• நேபாளம் Have I Been Pwned சேவையில் இணைந்த பிறகு, அரசின் குறைந்தது 135 மின்னஞ்சல் கணக்குகள் வெளிப்புறத் தரவு கசிவுகளில் அடையாளம் காணப்பட்டன.
• பல்கலைக்கழக ஆவணங்களும், காவல் அறிக்கைகளுக்காகச் சமர்ப்பிக்கப்பட்ட சுமார் 2 மில்லியன் குடியுரிமைப் பதிவுகளும் கசிந்ததாகத் தெரிவிக்கப்பட்டது; பிந்தைய எண்ணிக்கை இன்னும் சரிபார்க்கப்படவில்லை.
• மின்னணுக் கொள்முதல் வழக்கில் 20க்கும் மேற்பட்டோர் கைது செய்யப்பட்டதாகத் தெரிவிக்கப்பட்டது; நீதிமன்றத்தின் இறுதி முடிவுகள் குறிப்பிடப்படவில்லை.
• 2026 செப்டம்பரில் நடந்ததாகக் கூறப்படும் ransomware தாக்குதல், 72 தரகர் நிறுவனங்களின் அமைப்புகளைப் பாதித்து, பங்குச் சந்தை வர்த்தகத்தை ஒரு நாள் நிறுத்தியது.
• தேசிய அடையாள அமைப்பின் கொள்ளளவுப் பிரச்சினைகள், 16க்கும் மேற்பட்ட அமைப்புகளின் அங்கீகாரச் சேவையைப் பல வாரங்கள் தடைசெய்ததாகத் தெரிவிக்கப்பட்டது.
• பாதுகாப்புக் கண்காணிப்பும் சோதனையும் விரிவடைந்துள்ளன; ஆனால் கசிவு அறிவிப்பு, பொறுப்புக்கூறல், மீட்புக்கான பல தேதிகள் ஆகியவை இன்னும் தீர்மானிக்கப்படவில்லை.